2026年10月21日、PHPの開発チームが、PHP本体に見つかった重大な脆弱性（ぜいじゃくせい＝セキュリティ上の欠陥）2件を公表し、修正版を公開しました。PHPは、WordPressをはじめ多くの企業サイトを動かしている仕組みです。本件についての弊社の見解と、ご相談の受付についてお知らせします。
何が発表されたのか
公表されたのは、CVE-2026-109618 と CVE-2026-109619 の2件です。危険度はどちらも10点満点中9.2（CVSS v4.0）で、最も高い「緊急」のレベルにあたります。悪用されると、ログインしなくても、外部からサーバーの中で好きなプログラムを動かされるおそれがあります。
修正版は次のとおりです。お使いのPHPがこれより古い場合は、対応が必要です。
| お使いのPHP | 修正版（このバージョン以降なら対応済み） |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 以下 | 公式の修正版はありません。サーバー会社の個別対応を確認するか、8.2 以上への切り替えが必要です |
※2026年10月22日時点の情報です。なお、PHP 8.2 も2026年12月31日でサポートが終了するため、切り替える場合は 8.3 以上をおすすめします。
弊社の見解
弊社では、本件を「すぐに対応すべき、非常に危険度の高い脆弱性」と考えています。理由は次の3つです。
- IDやパスワードがなくても狙えるため、どのサイトも攻撃の対象になりえます。
- WordPressやプラグインが動く前の段階で攻撃されるため、セキュリティ用のプラグインでは防げません。
- 攻撃の仕組みが公表されているため、今後、ネット上のサイトを片っ端から試す「ばらまき型」の攻撃が増えると見ています。
根本的な対策は、修正版のPHPへ更新することだけです。サーバーの設定を変えて攻撃の入口を狭める応急処置もありますが、PHPの開発チーム自身も「完全な対策ではない」としています。応急処置は、更新までの時間稼ぎと考えてください。
どれくらい危険なのか（かんたんに説明します）
ホームページを「お店」にたとえてみます。WordPressは店内のレイアウトや商品棚、PHPはそれを支える建物そのものです。
今回見つかったのは、この建物の構造上の欠陥です。外から決まった手順で何度か押すと、裏口の鍵が外れてしまう、というものです。鍵（IDやパスワード）を持っていなくても入れてしまいます。
店内の金庫（WordPressのセキュリティ機能やプラグイン）がどれだけ頑丈でも、建物ごと入られてしまえば守りきれません。さらにやっかいなのは、入られても見た目が変わらないことが多い点です。お店はいつもどおり営業しているように見えるのに、裏ではお客様の情報が持ち出されていた、ということが起こりえます。
脆弱性によって、どんな攻撃を受けるのか
攻撃する側は、サイトに特殊な形のデータ（ファイルを送るときと同じ形の送信）を何度も送りつけます。サーバーの中で処理が乱れたすきに、自分のプログラムを動かして入り込みます。入り込まれた後には、次のような被害が考えられます。
- サイトの書き換え：偽の広告や詐欺サイトへ自動で飛ばされる、知らないページが大量に作られる
- 個人情報の流出：お問い合わせフォームや予約で受け取った、お客様の名前・連絡先などが盗まれる
- 裏口（バックドア）の設置：一度直しても、仕込まれた裏口から何度も入り直される
- 踏み台にされる：迷惑メールを送ったり、他の会社のサイトを攻撃したりする道具に使われる
- 信用の低下：Googleに「危険なサイト」と表示され、検索や広告の集客にも影響が出る
弊社はこれまでにも、何年も気づかれないまま裏口を仕込まれていたWordPressサイトの調査・駆除・復旧を行ってきました。被害は「見えないところ」で進むことが多く、気づいたときには手遅れ、ということも少なくありません。
ご自身のサイトの確認方法
- PHPのバージョンを調べるWordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、PHPのバージョンが表示されます。
- 修正版かどうかを確かめる上の表の修正版以降なら対応済みです。PHP 8.1 以下は修正版が出ないため、対応が必要です。
- サーバー会社のお知らせを見るレンタルサーバーの場合、PHP本体の更新はサーバー会社が行います。各社が緊急メンテナンスで対応を進めています。ただし、どのバージョンのPHPを使うかを選ぶのは利用者側です。
PHPのバージョンを上げると、テーマやプラグインが動かなくなり、サイトが表示されなくなる場合があります。切り替える前に、必ずバックアップと動作の確認を行ってください。
弊社のお客様について
保守・運用をお任せいただいているお客様のサイトは、PHPのバージョンの確認、切り替え前の動作チェック、必要な応急処置を順次進めております。個別にご連絡が必要な場合は、担当者よりご案内いたします。
お困りの方は、ご相談ください
弊社でサイトを管理していない方からのご相談も受け付けています。「何から確認すればいいのかわからない」という段階でもかまいません。次のような内容に対応できます。
- PHPのバージョンやサーバーの状況の確認
- PHPを切り替えたときに、テーマやプラグインが動くかの事前チェック
- PHPの切り替え作業、WordPress本体・プラグインの更新
- 更新までの応急処置（怪しい送信をサーバーの入口で断る設定など）
- 改ざんや不正なプログラムが仕込まれていないかの調査と駆除
- その後の見張り（監視と復旧のサービス「蔵番」）
サイトを作った制作会社が別にある場合も、制作会社さまと連携して対応いたします。お気軽にお問い合わせください。
